Fecha: Enero 12-2024

INTRODUCCIÓN

En el complejo y siempre cambiante paisaje de ciberseguridad, la amenaza de ransomware se ha elevado a nuevas alturas con la llegada de Medusa, una plataforma de Ransomware como Servicio (RaaS) que ha capturado la atención de los expertos en seguridad. En este informe, ofrecido por el equipo de investigación y analistas, explora de cerca las tácticas y estrategias empleadas por los actores de amenazas de Medusa, con un enfoque particular en su reciente cambio hacia la extorsión a través del lanzamiento de su sitio de filtración dedicado llamado "Medusa Blog".

Desde su aparición a finales de 2022, Medusa ha dejado su huella en múltiples sectores, afectando a organizaciones en todo el mundo. A medida que evolucionan sus métodos, el equipo de investigación y analistas revela sus descubrimientos sobre cómo este grupo utiliza técnicas de extorsión múltiple, su integración de canales como Telegram para amplificar su alcance y cómo ha desafiado incluso a organizaciones bien protegidas.

Únete a nosotros en un viaje detallado a través de las capas del ransomware Medusa, desde su propagación inicial hasta su presencia en la web oscura, y descubre cómo las soluciones de ciberseguridad están brindando una defensa crucial contra esta creciente amenaza digital. Este informe proporciona una visión única de las complejidades de Medusa y ofrece pautas sobre cómo fortalecer las defensas contra las crecientes amenazas de ransomware.

Según la información recopilada a continuación se describe la actividad del ransomware Medusa y su evolución a lo largo del tiempo.

Resumen de los periodos de tiempo generales y lo que se evidencia en ellos:

Fin de 2022:
Medusa Ransomware surge como una plataforma de Ransomware como Servicio (RaaS).
Principios de 2023:
Introducción del sitio de filtración dedicado llamado Medusa Blog.
Uso de Medusa Blog para revelar datos confidenciales de víctimas que no pagan el rescate.
Estrategia de múltiples extorsiones, ofreciendo opciones como extensión de tiempo, eliminación de datos o descarga de todos los datos a cambio de un precio.
Febrero de 2023:
Lanzamiento del sitio oficial de filtración de Medusa, anunciado en el canal Telegram.
Uso de canales públicos de Telegram para compartir archivos comprometidos públicamente.
Uso de diversas opciones de extorsión, como tarifa estándar por extensión de tiempo, eliminación de datos o descarga de datos.
Noviembre de 2023:
Identificación de la versión del ransomware Medusa como 1.20.
Uso de cifrado asimétrico RSA para proteger la clave AES256 utilizada para cifrar archivos de víctimas.
Cifrado de archivos con la extensión .medusa.

Operaciones Técnicas:

Uso de webshell en servidores Microsoft Exchange explotados.
Explotación de servicios vulnerables y secuestro de cuentas legítimas.
Uso de PowerShell y transferencia de bitsadmin desde un sitio de alojamiento de archivos.
Implementación de software de administración y monitoreo remoto (RMM) ConnectWise.

Evitación de Defensa:

Utilización de controladores de kernel protegidos por Safengine Shielden.
Uso de cargadores empaquetados con ASM Guard.
Apuntar y terminar procesos de seguridad específicos.

Descubrimiento y Reconocimiento:

Uso de herramientas como la versión portátil de Netscan para descubrimiento de servicios remotos.
Configuración personalizada con opciones para WMI, Registro, Servicios, Archivos, SNMP, etc.
Inclusión de secuencias de comandos remotas en cirílico y su traducción al inglés.

Impacto Internacional:

Afectación de diversas industrias, con énfasis en alta tecnología, educación y fabricación.
Mayor incidencia en los Estados Unidos, pero con presencia global.
Notas Adicionales:
Eliminación de sombras y archivos relacionados para dificultar esfuerzos forenses y de recuperación.
Nota de rescate con arte ASCII de Medusa, descripción de lo sucedido, garantías, instrucciones de contacto y uso de TOR.

Fases de la Investigación:

A continuación, se pueden identificar varias fases de investigación en este contexto:

Descripción General de Medusa Ransomware:

Investigación Inicial: Comprender la naturaleza del ransomware, sus tácticas y su evolución desde su aparición en 2022 hasta su notoriedad en 2023.

La Presa de Medusa: Entendiendo la Victimología:

Análisis de Víctimas: Estudiar las organizaciones afectadas por Medusa en 2023, identificando sectores específicos y la distribución geográfica de los ataques.

Caja de Herramientas de Medusa: Desentrañando el Comercio Mítico:

Análisis de Herramientas y Técnicas: Investigar las herramientas, técnicas y procedimientos utilizados por los actores de amenazas Medusa, desde el acceso inicial hasta la ejecución del ransomware.

Descubrimiento y Reconocimiento:

Exploración de Métodos de Ataque: Analizar cómo Medusa lleva a cabo la exploración y reconocimiento, utilizando herramientas como Netscan y ejecutando secuencias de comandos remotas.

Mirada en Profundidad a la Mirada de Medusa:

Análisis del Binario del Ransomware: Examinar el binario del ransomware, incluyendo su versión, argumentos de ejecución, cifrado de cadenas y métodos de descifrado.

Conclusiones y Protecciones:

Evaluación de Impacto: Concluir sobre la naturaleza y el impacto de Medusa en el panorama del ransomware.

Recomendaciones de Protección: Proporcionar medidas y estrategias de protección contra el ransomware Medusa, como el uso de soluciones de seguridad específicas.

Indicadores de Compromiso y Recursos Adicionales:

Compilación de Datos: Identificar indicadores de compromiso específicos y proporcionar recursos adicionales para ayudar en la detección y mitigación.

Fin del evidenciamiento:

Lo último evidenciado en el Seguimiento se eviencia la notoriedad del ransomware Medusa y su evolución táctica hacia la "multiextorsión".

Descripción General de Medusa Ransomware:

El ransomware Medusa ha surgido como una amenaza significativa en el panorama de la ciberseguridad, siendo reconocido como un servicio de ransomware (RaaS) a finales de 2022 y atrayendo una atención más amplia a principios de 2023. Su modus operandi se centra en ambientes Windows, empleando tácticas sofisticadas que abarcan desde la explotación de servicios vulnerables hasta el secuestro de cuentas legítimas. Este grupo de amenazas ha escalado sus actividades mediante la introducción de un sitio de filtración dedicado conocido como Medusa Blog, donde publican datos confidenciales de las víctimas que se niegan a cumplir con las demandas de rescate. Además de utilizar este sitio, los perpetradores emplean un canal público de Telegram llamado "soporte de información" para compartir archivos de organizaciones comprometidas, destacando la naturaleza multifacética y estratégica de sus operaciones. La evolución táctica hacia la multiextorsión, representada por el Blog Medusa, subraya la presión ejercida sobre las víctimas mediante demandas de rescate transparentes publicadas en línea. Con un enfoque indiscriminado que ha afectado a diversas industrias a nivel mundial, Medusa destaca por su complejidad y su capacidad para eludir la detección a través de técnicas de subsistencia, marcando un avance significativo en el panorama del ransomware.

La Presa de Medusa: Entendiendo la Victimología:

La Presa de Medusa, en el contexto del ransomware homónimo, refiere a la extensa y variada lista de víctimas que han caído bajo el asedio de este sofisticado ataque cibernético. Este fenómeno de victimología revela un patrón de impacto global, afectando a organizaciones de diversos sectores y tamaños, desde empresas multinacionales hasta pequeñas empresas y entidades gubernamentales. La diversidad de objetivos subraya la naturaleza indiscriminada de las operaciones de Medusa, desafiando las percepciones tradicionales de que solo ciertos sectores o entidades específicas son propensos a los ataques cibernéticos. La Presa de Medusa también evidencia la capacidad de adaptación del ransomware para infiltrarse en una amplia gama de sistemas informáticos, aprovechando vulnerabilidades y desafiando las medidas de seguridad implementadas por las organizaciones. La victimología asociada con la Presa de Medusa destaca la necesidad crítica de una ciberseguridad robusta y estrategias proactivas para mitigar los riesgos emergentes en el paisaje digital actual.

Caja de Herramientas de Medusa: Desentrañando el Comercio Mítico:

La denominada "Caja de Herramientas de Medusa" constituye un conjunto complejo y diversificado de tecnologías y tácticas empleadas por este ransomware, desentrañando el tejido mismo del comercio mítico en el ciberespacio. Esta caja de herramientas engloba desde algoritmos de cifrado avanzados hasta técnicas de evasión de detección, permitiendo a los operadores de Medusa desplegar sus ataques de manera sigilosa y efectiva. Además, incorpora elementos como la ingeniería social y la explotación de vulnerabilidades específicas, ofreciendo a los perpetradores la capacidad de adaptarse a las defensas de seguridad más sofisticadas. El comercio mítico al que alude esta descripción refleja la naturaleza clandestina y mitológica de las transacciones asociadas con el ransomware, donde los rescates se negocian en criptomonedas y se perpetúan en las sombras de la red. Desentrañar esta caja de herramientas es fundamental para comprender la sofisticación técnica y la astucia estratégica que caracterizan a Medusa, proporcionando perspectivas cruciales para el desarrollo de contramedidas y la protección contra futuros ataques.

Descubrimiento y Reconocimiento:

El modus operandi de Medusa Ransomware se manifiesta a través de una meticulosa exploración de métodos de ataque, donde la utilización de herramientas especializadas como Netscan y la ejecución de secuencias de comandos remotas desempeñan un papel crucial. Durante esta fase, los operadores de Medusa realizan un análisis exhaustivo de la infraestructura objetivo, identificando vulnerabilidades y puntos de entrada potenciales. La herramienta Netscan facilita la detección de dispositivos activos en la red, mientras que las secuencias de comandos remotas permiten la evaluación de sistemas y la recopilación de información relevante. Este enfoque proactivo en el descubrimiento y reconocimiento demuestra la sofisticación de Medusa al adaptarse a su entorno, preparando el terreno para ataques selectivos y maximizando la eficacia de sus operaciones de ransomware. La comprensión detallada de estas tácticas proporciona una base esencial para fortalecer las defensas cibernéticas y mitigar la amenaza que representa Medusa.

Conclusiones y Protecciones:

Las conclusiones sobre la naturaleza y el impacto de Medusa en el panorama del ransomware son fundamentales para comprender y abordar eficazmente esta amenaza cibernética. La evaluación de impacto se convierte en un pilar esencial, destacando las repercusiones tanto a nivel técnico como operativo. Este análisis crítico no solo proporciona perspectivas sobre la magnitud de la amenaza, sino que también contribuye a la formulación de estrategias defensivas efectivas. Las recomendaciones de protección son un componente crucial de este proceso, delineando medidas específicas y estrategias para mitigar el riesgo asociado con Medusa. Entre estas recomendaciones se pueden incluir la implementación de soluciones de seguridad especializadas, actualizaciones regulares de software, concienciación del usuario y protocolos de respaldo robustos. La combinación de una evaluación integral y medidas de protección proactivas es esencial para fortalecer la resiliencia de los sistemas ante la amenaza persistente de Medusa y otros ataques de ransomware.

Mirada en Profundidad a la Mirada de Medusa:

Una mirada en profundidad a la mirada de Medusa revela un análisis detallado del binario del ransomware, desentrañando sus características fundamentales. Este examen minucioso abarca aspectos críticos como la versión específica del ransomware, los argumentos de ejecución que utiliza y los métodos empleados para cifrar cadenas de información. La comprensión de estos elementos esenciales permite obtener una visión integral de la estructura y el funcionamiento interno de Medusa, proporcionando valiosa información sobre su modus operandi. Además, la evaluación de los métodos de descifrado utilizados arroja luz sobre posibles estrategias para contrarrestar los efectos del ransomware y desarrollar medidas efectivas de mitigación. Este análisis profundo del binario de Medusa constituye un componente clave en la lucha contra esta amenaza cibernética, capacitando a los profesionales de seguridad para abordar de manera proactiva sus características distintivas.

Fin del evidenciamiento:

Lo último evidenciado en el Seguimiento se eviencia la notoriedad del ransomware Medusa y su evolución táctica hacia la "multiextorsión". La operación del grupo Medusa muestra métodos de propagación complejos, aprovechando vulnerabilidades del sistema y utilizando intermediarios de acceso inicial, al tiempo que evita la detección mediante técnicas de subsistencia.

La introducción del "Blog Medusa" representa un cambio táctico hacia la "multiextorsión", donde el grupo utiliza tácticas transparentes para presionar a las víctimas mediante demandas de rescate. Este blog es utilizado para revelar datos confidenciales de víctimas que no cumplen con las demandas de rescate. Además, el informe destaca que el grupo Medusa proporciona a las víctimas opciones adicionales, como la extensión de tiempo, eliminación de datos o descarga de todos los datos, cada una con un precio que depende de la organización afectada.

Graficas de Análisis

Según su sitio de filtración, el ransomware Medusa posiblemente afectó a 74 organizaciones en todo el mundo

Los ataques de ransomware Medusa han dejado una destacada impronta a nivel internacional, destacándose particularmente en los Estados Unidos, donde se registraron 24 incidentes al momento de redactar este documento. Aunque se observa una presencia sustancial de objetivos en Europa, es importante destacar la naturaleza indiscriminada de este grupo de ransomware, evidenciada por incidentes aislados en África, América del Sur y Asia. La escala global de estos ataques trasciende incluso a regiones con informes menos frecuentes.

Continua en edición...